DSGVO für Webseitenbetreiber: viel Hype um nichts?

Die “Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG”, kurz DSGVO, bereitet vielen europäischen Einzelunternehmern, Freiberuflern, Unternehmen und Vereinen Kopfzerbrechen. Denn was die Verbraucher freut, ist des Unternehmers leid – oder doch nicht?

DSGVO: alles Wichtige für Betreiber von Webseiten

In Kraft getreten ist die Datenschutzgrundverordnung bereits am 24. Mai 2016. Nach einer Frist von zwei Jahren, die seitens der EU gewährt wurde und nun abläuft, ist das neue Gesetz ab dem 25. Mai 2018 auch tatsächlich anzuwenden. Die Verunsicherung ist groß, aber ändert sich – vor allem für Deutsche Selbstständige, Unternehmen und Vereine – überhaupt so viel?

Datenschutzgrundverordnung: eine Zusammenfassung

Bisher galten innerhalb der Europäischen Union unterschiedliche Datenschutzstandards. Mit der DSGVO will man diesen Flickenteppich nun durch ein einheitliches Modell ersetzen. Das Gesetz gilt übrigens nicht nur für in Europa ansässige Unternehmen, sondern auch für alle Firmen, die von außerhalb der EU auf personenbezogene Nutzerdaten von EU- und Nicht-EU-Bürgern über EU-Server zugreifen.

Wie verschiedene Onlineportale unter Berufung auf eine Stellungnahme von Facebook berichteten, hat der Social-Media-Gigant aus diesem Grund 1,5 Milliarden Nutzerdaten von Irland auf US-amerikanische Server verschoben. So stellt Facebook sicher, dass die neuen Regularien lediglich auf Daten von EU-Bürgern angewendet werden müssen, nicht aber auf die Daten der restlichen 70 % der Facebook User, die keinen Wohnsitz in der EU haben.

Was soll mit der DSGVO erreicht werden?

Zum einen will man seitens der EU für einheitliche Bedingungen sorgen, zum anderen sollen auch in Ländern, in denen bereits stramme Datenschutzgesetze galten (so z. B. in Deutschland), die Regeln noch ein wenig verschärft werden. Grundziel der EU-DSGVO ist es, Bürgern mehr Selbstbestimmung zu ermöglichen, in dem die Informationspflicht über die Verwendung personenbezogener Daten seitens der Unternehmen und Selbstständigen zunimmt. Außerdem wird die Rechtsprechung mit der neuen Verordnung an moderne, also digitale, Datenverarbeitungsmethoden angepasst.

Wen betrifft die neue DSGVO?

Grundlegend betrifft die neue Datenschutzverordnung der EU alle Menschen, die automatisiert benutzerbezogene Daten verarbeiten. Weil solche Kundendaten insbesondere von unternehmerisch tätigen Personen (sowohl natürliche als auch juristische Personen) erhoben werden, sollte sich also jeder Gewerbetreibende und Freiberufler, unabhängig von der Rechtsform, mit der DSGVO auseinandersetzen. Wer denkt, nur Großkonzerne wie Facebook, Amazon und Co müssten sich darüber den Kopf zerbrechen, irrt.

Was sind personenbezogene Daten?

Zu den personenbezogenen Daten zählen alle Informationen, die sich auf eine natürliche Person beziehen und anderen Rückschlüsse auf dessen Persönlichkeit erlauben. Die am häufigsten erhobenen personenbezogenen Daten sind daher:

• der Name,
• das Geburtsdatum,
• die E-Mail-Adresse,
• die IP-Adresse,
• die Steuernummer,
• das KFZ-Kennzeichen und
• die Bankverbindung.

Allerdings zählen auch Informationen über die ethnische und kulturelle Herkunft einer Person, die politische, religiöse und philosophische Gesinnung sowie potentiell ziehbare Rückschlüsse auf die Gesundheit und die sexuelle Orientierung zu den personenbezogenen Daten, die unter dem DSGVO (und früheren deutschen Datenschutzgesetzen, die durch die DSGVO übertrumpft werden) Relevanz besitzen. Vor allem in Internetforen, aber auch bei simplen Kommentarfunktionen auf Webseiten ist hier also Vorsicht geboten.

Was ändert sich (für deutsche Unternehmen und Selbstständige)?

Auch wenn viele im Web versuchen, Panik zu verbreiten, muss ganz deutlich gesagt werden, dass sich für deutsche Unternehmen mit der Einführung der DSGVO nicht so viel ändert, das Panik angebracht wäre. Denn hierzulande kümmerte man sich auch vor Einführung des neuen EU-Gesetzes mit dem Telemediengesetz (TMG) und dem Bundesdatenschutzgesetz (BDSG) bereits gebührend um den Schutz von User- bzw. Kundendaten.

Einzig und allein die Strafen, die bei Missachtung der Datenschutzverordnung verhängt werden, fallen nun empfindlicher aus und werden möglicherweise auch flächendeckender erhoben. Außerdem wurde bei der neuen EU-Verordnung die Beweislast umgekehrt. Soll heißen: Art. 5 Abs. 2 DSGVO bestimmt, dass der Verantwortliche für die in Art. 5 Abs. 1 DSGVO genannten Pflichten (die Grundsätze der DSGVO) verantwortlich ist und selbst Nachweis erbringen muss, diese Pflichten auch einzuhalten.

Zu den Grundsätzen der DSGVO gehören:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
• Zweckbindung
• Richtigkeit
• Speicherbegrenzung
• Integrität und Vertraulichkeit

An manchen Stellen müssen Webseitenbetreiber also durchaus nachbessern.

DSGVO: einige Schwerpunkte für Webseitenbetreiber im Überblick

Schauen wir uns die wichtigsten Punkte mal etwas genauer an – vor allem jene Aspekte, die für Webseitenbetreiber interessant sind und bei denen unter Umständen nachgebessert werden muss.

SSL-Verschlüsselung

Im Zuge der EU-Datenschutzgrundverordnung wird auch die Verschlüsselung von Webseiten in den Fokus gerückt. Zwar gab es bereits im Paragraph 13 des Telemediengesetzes dazu einen Hinweis, doch Abmahnungen bei fehlender SSL-Verschlüsselung mussten Webseitenbetreiber bisher (in den meisten Fällen) nicht fürchten. Lediglich bei Kontaktformularen ohne SSL-Verschlüsselung kam es im Jahr 2015 zu einer Reihe von Abmahnungen bei Onlineshops.

Mit Einführung des DSGVO sollte man diesen Punkt also mindestens für Kontaktformulare, besser jedoch für die gesamte Webseite umsetzen. Auch wenn es in der Praxis Einzelfallentscheidungen sein werden und man nicht pauschal von einer Pflicht zur SSL-Verschlüsselung für die gesamte Website sprechen kann, ist sicher eben sicher.

Datenverarbeitungsvertrag

“Muss ich jetzt einen Auftragsverarbeitungsvertrag mit meinem Hoster abschließen?”, lautet eine oft gestellte Frage im Zusammenhang mit dem DSGVO. Die Antwort: Ja, möglicherweise schon. Wenn euer Hosting Anbieter personenbezogene Daten verarbeitet, solltet ihr einen solchen Vertrag in jedem Fall abschließen. Die meiste Hoster bieten in ihren Benutzerbereichen kostenlose Vorlagen. Auch wenn die gesetzlichen Bestimmungen teilweise Auslegungssache sind, schadet ein solcher Vertrag nicht – selbst dann, wenn man ihn im Einzelfall nicht immer braucht.

Bei Analyse-Diensten wie Google Analytics oder Matomo (ehemals Piwik) ist das Ganze etwas eindeutiger: Hier wäre ein Auftragsverarbeitungsvertrag längst Pflicht gewesen. Eine Vorlage dazu gemäß des deutschen Datenschutzrechts ist bereits seit gefühlten Ewigkeiten von Google erhältlich. Weil bisher keine einheitliche europäische Richtlinie dazu im Raum stand, regelt das ab sofort Art. 28 ff. der EU-DSGVO. Hier müsst ihr also in jedem Fall nachbessern, sofern ihr noch nicht tätig geworden seid.

Nachdem bei solchen Verträgen nach dem BDSG bisher die Schriftform gewahrt werden musste, bestimmt Art. 28 Abs. 9 DSGVO, dass ein solcher Vertrag auch digital geschlossen werden kann. Bei Google Analytics geht das beispielsweise ganz simpel: Einfach das Analytics Dashboard aufrufen, den Menüpunkt Verwaltung > Kontoeinstellungen aufrufen, sich den Zusatz der Datenverarbeitung anzeigen lassen (eventuell ausdrucken) und über den blauen Zustimmen Button bestätigen – fertig.

Wichtig: Ein Datenverarbeitungsvertrag reicht nicht aus. Zusätzlich müsst ihr in der Datenschutzerklärung eurer Webseite belehren, welche Drittparteien Zugriff auf benutzerbezogene Daten haben.

Ein solcher Datenverarbeitungsvertrag muss im Übrigen auch mit einer Agentur geschlossen werden, die in eurem Auftrag auf benutzerbezogene Daten zugreift. Beauftragt ihr zum Beispiel eine SEO-Agentur und gewährt dieser Zugriff auf euren Analytics Account, euren Webserver und Datenbanken, hat diese Agentur also Zugriff auf personenbezogene Daten. Auch hier reicht eine Belehrung in der Datenschutzerklärung nicht aus, sondern sollte im Optimalfall mit einem Auftragsverarbeitungsvertrag untermauert werden.

Tipp: Falls ihr in Eigenregie einen Datenverarbeitungsvertrag abschließen wollt bzw. müsst, könnt ihr in Art. 28 Abs. 3 EU-DSGVO nachlesen, welche Punkte unbedingt darin enthalten sein sollten.

Datenschutzbeauftragter

Auch hier regelte das BDSG aus dem Jahre 1990 bereits vieles, was mit der Einführung des DSGV auch in anderen EU-Ländern verpflichtend wird. Im BDSG heißt es:

“Öffentliche und nicht-öffentliche Stellen, die personenbezogene Daten automatisiert verarbeiten, haben einen Beauftragten für den Datenschutz schriftlich zu bestellen. Nicht-öffentliche Stellen sind hierzu spätestens innerhalb eines Monats nach Aufnahme ihrer Tätigkeit verpflichtet. Das Gleiche gilt, wenn personenbezogene Daten auf andere Weise erhoben, verarbeitet oder genutzt werden und damit in der Regel mindestens 20 Personen beschäftigt sind.”

Wer diesen Punkt ignoriert hat, verstößt also streng genommen bereits seit 1990 gegen geltendes Gesetz. Mit dem DSGVO wird dieser Sachverhalt hingegen noch ein wenig verschärft. Beschäftigt ihr mehr als neun Mitarbeiter, die Zugriff auf personenbezogenen Daten haben (wenn man genau hinsieht, gilt das für fast jeden Mitarbeiter), wird ein Datenschutzbeauftragter ab sofort zur Pflicht. Dabei ist es unerheblich, ob diese Mitarbeiter in Teilzeit, Vollzeit oder im Rahmen einer geringfügigen Beschäftigung bei euch tätig sind.

Cookie-Hinweis

Das Thema Cookies wird von der EU-Verordnung gar nicht tangiert, sondern erst einmal verschoben. Bereits in der Vergangenheit haben sich Webseitenbetreiber durch die Cookie EU-Richtlinie unnötig verunsichern lassen.

Hintergrund: Eine EU-Richtlinie ist etwas anderes als eine EU-Verdordnung. Richtlinien, die seiten der Europäischen Union verordnet wurden, müssen im jeweiligen EU-Land auch umgesetzt werden. Weil dies bei der Cookie-Richtlinie nicht der Fall ist, kann man als Betreiber einer Website also getrost auf den EU-Cookie-Hinweis verzichten. Ein bisschen tricky wird es allerdings, falls ihr AdSense Anzeigen auf eurer Seite ausspielt.

Auswirkungen der DSGVO auf AdSense Publisher

Eines ist ganz sicher klar: das nichts klar ist! Während andere Auswirkungen der DSGVO auf Betreiber von Webseiten mehr oder weniger eindeutig sind, wird man beim Thema AdSense im Regen stehen gelassen. Bisher findet man hierzu noch keine aussagekräftigen Informationen – weder auf Rechtsratgeber-Seiten, noch bei Google selbst. Lediglich einen kleinen Blogpost hat Google dem Thema im März 2018 gewidmet. Frei übersetzt heißt es darin:

Im Mai tritt Europas neue Datenschutz-Grundverordnung (DSGVO) in Kraft. Google hat sich verpflichtet, die DSGVO einzuhalten und deshalb mit unseren Kunden und Partnern zusammengearbeitet, um sie über Richtlinien.Änderungen für unsere verschiedenen Produkte zu informieren.

Heute informieren wir Werbetreibende und Publisher-Partner über Änderungen unserer Anzeigenrichtlinien. Google fordert bereits (seit längerem) von Publishern und Werbetreibenden, die unsere Werbedienste, eine Zustimmung der Endnutzer zur Nutzung dieser Dienste einzuholen, wie es gemäß geltendem EU-Recht vorgeschrieben ist. Die DSGVO wird diese Anforderungen noch weiter spezifizieren.

Um dies zu erreichen, werden wir unsere Einwilligungsrichtlinien für die EU aktualisieren, sobald die DSGVO in Kraft tritt. Die überarbeitete Richtlinie wird verlangen, dass die Publisher zusätzliche Schritte unternehmen, um die Zustimmung ihrer Nutzer einzuholen.

Noch vor Mai werden wir eine Lösung zur Unterstützung von Publishern präsentieren, die nicht personalisierte Anzeigen schalten möchten. Außerdem arbeiten wir mit Branchenverbänden wie IAB Europe zusammen, um die vorgeschlagenen Lösungen für die Zustimmung von Publishern weiter zu erörtern.

Wir sind uns bewusst, dass unsere Kunden und Partner – sowohl europäische als auch internationale – im Rahmen der neuen Gesetze erhebliche Verpflichtungen auferlegt bekommen, so wie Google auch. Publisher und Werbetreibende können daher weitere Updates erwarten, je weiter wir uns dem Inkrafttreten der DSGVO nähern.

Zum Original: https://adwords.googleblog.com/2018/03/changes-to-our-ad-policies-to-comply-with-the-GDPR.html

AdSense und Datenschutz: was bisher galt

Bereits seit 2015 verlangt Google von Publishern, die AdSense zur Monetarisierung ihrer Webseite nutzen, dass diese ihre Nutzer informieren, wenn Google Daten erfasst, um beispielsweise personalisierte Anzeigen ausspielen zu können. Ob Google hier eine Information über die Cookie-Nutzung in der Datenschutzerklärung ausreicht oder eine ausdrückliche Einwilligung per Opt-In für notwendig hält, war bereits damals eine Streitfrage.

Was wir unabhängig von den Google Anforderungen wissen ist, dass eine EU-Richtlinie etwas grundlegend anderes ist als eine EU-Verordnung (siehe oben). Weil die Richtlinie in Deutschland aber bis heute nicht umgesetzt wird, war der Cookie-Hinweis von dieser Seite aus betrachtet mehr oder weniger unnötig. Nach deutschem Recht war und ist die Information über Cookies im Impressum bzw. der Datenschutzerklärung vollkommen ausreichend, da die neue EU-Verordnung hier erst einmal keine weiteren Maßnahmen vorsieht.

Durch die Forderungen von Google, den Cookie-Hinweis als Opt-In zu integrieren, würde der Suchmaschinen-Gigant also bereits seit 2015 (geht auf die EU-Richtlinie Richtlinie 2009/136/EG aus 2009 zurück) weiter gehen als die deutschen und die EU-Datenschutzbehörden es überhaupt fordern.

Was tun?

Unser Tipp: Integriert den Cookie-Hinweis als Single Opt-In in jedem Fall auf eurer Seite und informiert in eurer Datenschutzerklärung ausdrücklich darüber, dass Google Daten zur Platzierung personalisierter Anzeigen nutzt – nicht jedoch um Abmahnungen zu verhindern, sondern insbesondere für Google selbst. Denn insofern Google dies von euch fordert bzw. in Zukunft mit neuen Ankündigungen einen Opt-In noch ausdrücklicher verlangen sollte, seid ihr auf der sicheren Seite. Schließlich behält sich Google das Recht vor, Publisher auszuschließen, wenn gewisse Anforderungen nicht erfüllt sind.

Kontaktformular & Kommentarfunktion

Sofern ihr auf eurer Webseite weder ein Kontaktformular, noch eine Kommentarfunktion nutzt, seid ihr auf der sicheren Seite. Andernfalls solltet ihr (spätestens jetzt) die SSL-Verschlüsselung bei jeglicher Form der Datenübertragung aktivieren.

Muss ich eine separate Checkbox vor dem absenden des Kontaktformulars einsetzen?

NEIN!!

Die explizite Einwilligung eurer User, dass ihr diese Daten verwenden dürft, müsst ihr euch – anders als in vielen anderen Artikeln zum Thema DSGVO beschrieben, NICHT einholen. Begründung: Sendet ein User ein Kommentar ab, gibt er seine Daten komplett freiwillig und ohne jeglich Aufforderung weiter.

Wichtig ist in diesem Zusammenhang die “Belehrung”  im Impressum/Datenschutzbelehrung darüber was exakt mit diesen Daten passiert. Aber bitte lasst euch nicht von Anwälten oder Agenturen “beschwatzen” hier noch separat eine Erweiterung einzubauen.

Auf folgender Seite gibt es einen tollen Podcast von Rechtsanwalt Stephan Hansen – Oest der das Thema hier noch einmal ganz klar behandelt. Reinhören lohnt sich – denn das Thema wird hier auf eine sympatische und lockere Art behandelt.

>>> Hier geht es zum Podcast

Impressum & Datenschutzerklärung

Bereits jetzt war eine Datenschutzerklärung gemäß § 13 TMG im Impressum oder auf einer eigenen Unterseite (die von jeder einzelnen Unterseite aus erreichbar sein muss) Pflicht. Wenn ihr hier bereits gut aufgestellt seid, braucht ihr euch prinzipiell um nicht viel kümmern. Lediglich die…

…Belehrung über die Betroffenenrechte,

die Offenlegung aller Auftragsverarbeiter (dazu gehören auch Hoster)

sowie die Angabe der zuständigen Aufsichtsbehörde…

müssen jetzt ergänzt werden. Auch über die Speicherfristen der personenbezogenen Daten muss in der Datenschutzerklärung ab sofort informiert werden.

Tipp: Lasst euch von einem Fachanwalt beraten oder greift auf (teils kostenpflichtige) DSGVO konforme Datenschutzerklärungsgeneratoren zurück.

Empfindliche Bußgelder nach Einführung des DSGVO

Was sich mit der Einführung des DSGVO in jedem Fall ändert, ist die Höhe der Bußgelder bei Missachtung der Datenschutzpflichten. Der Gesetzestext spricht hier von bis zu 20.000.000 EUR oder bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, abhängig davon, welcher Betrag höher ist. Auch wenn nicht klar ist, ob eine Abmahnwelle droht, solltet ihr alle Anpassungen in jedem Fall so schnell wie möglich vornehmen.

Denn gemäß Art. 83 DSGVO steht es nicht mehr im Ermessen der Aufsichtsbehörden, ob ein Verstoß „bestraft“ wird. Anders gesagt: Wird ein Verstoß registriert, MUSS dieser bestraft werden. Lediglich über die Höhe des Bußgeldes, das “verhältnismäßig” zu sein hat, kann individuell bestimmt werden.

DSGVO Checkliste: was jetzt zu tun ist im Überblick

Fazit: halb so wild, aber ganz schön nervig

Wer sich als normaler Webseitenbetreiber bereits jetzt an in Deutschland geltendes Recht gehalten hat, der braucht auch nach der Einführung des DSGVO keine Angst zu haben, existenzbedrohende Bußgelder zu riskieren. Sobald die vorhin genannten Aspekte bei der Datenschutzerklärung ergänzt werden und Auftragsverarbeitungsverträge geschlossen sind, könnt ihr euch wieder um die wirklich wichtigen Sachen kümmern.

Zusammenarbeit: 

Wir danken Rechtsanwalt Christoph Becker für die Beantwortung unserer Fragen zum Thema Datenschutz.

Links:

DSGVO Gesetzestext der EU zum Nachlesen

Telemediengesetz der Bundesrepublik Deutschland

Bundesdatenschutzgesetz

Liste der Aufsichtsbehörden und Landesdatenschutzbeauftragten

Hinweis:

Weil die DSGVO auch noch andere Bereiche betrifft, die möglicherweise nicht in diesem Artikel erwähnt werden, übernehmen wir keine Garantie für die Richtigkeit und Vollständigkeit unserer Aussagen! Bei unserer Darstellung handelt es sich lediglich um einen Auszug der Punkte, bei denen bei Betreibern von Webseiten höchstwahrscheinlich Handlungsbedarf besteht.